Art. 3º, III da LGPD - Comentário, Interpretação e Comparação

O inciso III do art. 3º dispõe que a lei brasileira se aplica quando os dados pessoais, objeto do tratamento, tenham sido coletados no território nacional.

Esse inciso consagra um critério territorial de conexão baseado no local da coleta dos dados, ampliando o alcance desta lei para além do local do agente de tratamento ou da execução do tratamento.

Em termos jurídicos, trata-se de uma hipótese de incidência autônoma, que independe da sede do controlador ou operador, do local onde ocorre o tratamento posterior e da nacionalidade do titular.

Basta que a coleta tenha ocorrido em território brasileiro para que se submeta aos ditames desta lei. Isso reforça o caráter extraterritorial mitigado da lei.

A interpretação do termo “coleta” deve ser funcional e teleológica, compreendendo qualquer operação inicial de obtenção de dados, como preenchimento de formulários online no Brasil, captura de dados por aplicativos utilizados no país e a coleta física por meio cadastros, contratos, atendimentos presenciais, etc.

A Autoridade Nacional tende a adotar interpretação ampla, alinhada à finalidade protetiva da norma.

Um ponto relevante a ser observado é que, mesmo que os dados sejam imediatamente transferidos para o exterior, a lei brasileira continua aplicável, pois ocorreu a consumação do elemento de conexão, que é a coleta no Brasil.

A finalidade normativa desse inciso é a de evitar lacunas de proteção, ou, no termo em inglês, regulatory gaps, impedindo que agentes estrangeiros escapem da incidência da lei brasileira ao coletar dados no Brasil e processá-los exclusivamente no exterior.

Assim, a norma protege a expectativa legítima do titular de que seus dados sejam protegidos conforme o padrão brasileiro e a soberania regulatória nacional sobre dados coletados em seu território.

Numa visão sistemática, esse inciso se correlaciona com os incisos I e II do mesmo artigo, por apresentar uma estrutura embasada em três critérios de aplicação desta lei.

Nessa esteira, pode-se observar que o inciso I tem como critério o local do tratamento, com foco na territorialidade direta. O inciso II tem como critério a oferta de bens ou serviços, ou que os titulares estejam no Brasil, cujo foco é a territorialidade por efeitos. O inciso III tem como critério o local da coleta, cujo foco é a territorialidade por origem.

Portanto, esse inciso atua como cláusula de fechamento do sistema, garantindo que nenhuma operação relevante escape à lei quando há vínculo inicial com o Brasil.

Em comparação com o direito internacional, a lei brasileira se distingue por priorizar o momento da coleta.

O Regulamento Europeu adota critérios diferentes. No art. 3, item 1 daquele Regulamento, exige-se que o controlador esteja estabelecido na UE, e no art. 3, item 2, exige-se a oferta de bens/serviços ou monitoramento de comportamento.

Nesse aspecto, a diferença central reside no fato de que o GDPR não utiliza expressamente o critério do local da coleta, enquanto a lei brasileira, ao incluir esse critério, torna-se mais abrangente em certos cenários.

Uma situação prática é a que ocorre quando uma empresa estrangeira coleta dados de usuários no Brasil, como por exemplo, um aplicativo estrangeiro usado fisicamente no país, mas que não direciona serviços ao Brasil. Nesse caso, a lei brasileira é aplicável, por força do dispositivo contido nesse inciso, enquanto o GDPR pode não ser aplicável.

Em comparação com outras jurisdições, podem-se citar duas leis estaduais dos EUA, como por exemplo a CCPA ((California Consumer Privacy Act) e a CPRA (California Privacy Rights Act) que priorizam a residência do titular ou atuação econômica no território californiano. Frise-se que os EUA não possuem lei federal específica sobre privacidade de dados pessoais.

Nessa esteira, a lei brasileira distingue-se ao valorizar o momento da coleta como elemento jurídico relevante, aproximando-se de uma lógica de proteção territorial originária.

Portanto, esse inciso apresentas algumas implicações práticas no que diz respeito a empresas estrangeiras, plataformas digitais e transferência internacional de dados.

Em relação às empresas estrangeiras, estas devem cumprir a lei brasileira se
coletarem dados no Brasil, ainda que não haja presença física permanente. Em relação às plataformas digitais, a lei é aplicada frequentemente em aplicativos móveis, sites acessados no Brasil e serviços baseados em geolocalização. Quanto a transferência internacional, a coleta no Brasil ativa a necessidade de base legal ínsita no art. 7º da lei brasileira, além da necessidade de observância das regras de transferência internacional dispostas nos arts. 33 e seguintes da lei nacional.

Ainda que tenha o legislador sido prolixo na criação desta lei, sendo uma das leis mais conceituais, algumas questões interpretativas devem ser debatidas, dentre elas o que caracteriza a coleta no Brasil em ambiente digital, a existência ou não de IP brasileiro, a questão da geolocalização, a suficiência da autodeclaração do usuário e ainda se a coleta indireta, por meio de data brokers estão abarcadas pela disposição contida nesse inciso.

A tendência é que tais questionamentos estejam abrangidos pela disposição contida nesse inciso, desde que a origem dos dados seja no território nacional.

No mesmo contexto, é se a coleta automatizada por meio de cookies se enquadra nesse dispositivo. A resposta é positiva, desde que vinculada a usuários localizados no Brasil no momento da coleta.

Em resumo, esse inciso desempenha função primordial ao consolidar a abrangência territorial ampliada da lei, impedir estratégias de evasão regulatória e proteger dados desde sua origem no território nacional.

Comparativamente, a lei brasileira revela-se, nesse ponto, mais abrangente que o GDPR, ao incorporar a coleta como elemento autônomo de conexão jurídica.